การกำหนดค่า HIPAA

การควบคุมการเข้าถึง

ใช้นโยบายและขั้นตอนทางเทคนิคสำหรับระบบข้อมูลอิเล็กทรอนิกส์ที่ดูแลรักษาข้อมูลสุขภาพอิเล็กทรอนิกส์ที่ได้รับการคุ้มครอง เพื่ออนุญาตให้เข้าถึงได้เฉพาะบุคคลหรือโปรแกรมซอฟต์แวร์ที่ได้รับสิทธิ์การเข้าถึงเท่านั้น

SAML SSO ของ Notion สร้างขึ้นบนมาตรฐาน SAML 2.0 ซึ่งเชื่อมต่อ Identity Provider (IdP) และพื้นที่ทำงานของคุณเพื่อประสบการณ์การเข้าสู่ระบบที่ง่ายและปลอดภัยยิ่งขึ้น Notion รองรับการกำหนดค่าอย่างเป็นทางการสำหรับ SAML SSO กับ: Azure, Google, Gusto, Okta, OneLogin และ Rippling

ในการเริ่มต้นใช้งาน SAML SSO กับ Notion คุณจะต้องทำตามขั้นตอนต่อไปนี้ให้เสร็จสิ้น:

• ยืนยันโดเมน:ในการใช้คุณสมบัติด้านความปลอดภัยขั้นสูง คุณต้องยืนยันความเป็นเจ้าของโดเมนอีเมลของคุณ นี่เป็นกระบวนการอัตโนมัติที่เกี่ยวข้องกับการเพิ่มระเบียน TXT ลงใน DNS ของโดเมนของคุณเพื่อยืนยันความเป็นเจ้าของของคุณ

• เปิดใช้งาน SAML SSO:การดำเนินการนี้จะเปิดใช้งานฟีเจอร์ดังกล่าวและเสร็จสิ้นการกำหนดค่า สำหรับข้อมูลเพิ่มเติมเกี่ยวกับการกำหนดค่า SAML SSO ให้เสร็จสมบูรณ์ โปรดดู บทความนี้

• เปลี่ยนวิธีเข้าสู่ระบบเริ่มต้น:เมื่อเปิดใช้งาน SAML SSO ครั้งแรก วิธีเข้าสู่ระบบเริ่มต้นจะถูกตั้งเป็น วิธีใดก็ได้ ซึ่งหมายความว่าผู้ใช้สามารถเลือกเข้าสู่ระบบผ่าน SAML หรือวิธีเข้าสู่ระบบปกติของตนได้ โดยการตั้งค่าเป็น เฉพาะ SAML SSO จะเป็นการบังคับใช้ SAML เป็นวิธีเข้าสู่ระบบสำหรับผู้ใช้ที่ถูกจัดการในพื้นที่ทำงานของคุณที่มีอีเมลบริษัทที่ได้รับการยืนยัน

• เชื่อมโยงพื้นที่ทำงานเพิ่มเติม:หากคุณมีพื้นที่ทำงานมากกว่าหนึ่งแห่งที่คุณต้องการกำหนดค่าด้วย SSO คุณสามารถทำได้โดยติดต่อ [email protected]

เมื่อกำหนดค่าอย่างถูกต้องแล้ว สมาชิกทุกคนที่เข้าสู่ระบบพื้นที่ทำงานของคุณจะต้องใช้โดเมนที่ได้รับการยืนยันและจะต้องได้รับการยืนยันตัวตนผ่านผู้ให้บริการข้อมูลประจำตัวของคุณ เจ้าของพื้นที่ทำงาน Enterprise สามารถข้ามขั้นตอนได้โดยใช้วิธีเข้าสู่ระบบทางเลือกในกรณีที่เกิดความไม่สำเร็จของ IdP/SAML SSO

การระบุตัวตนผู้ใช้ที่ไม่ซ้ำกัน

กำหนดชื่อและ/หรือหมายเลขที่ไม่ซ้ำกันสำหรับการระบุและติดตามตัวตนของผู้ใช้

Notion มี SCIM API ซึ่งสามารถใช้เพื่อจัดเตรียม จัดการ และยกเลิกการจัดเตรียมสมาชิกและกลุ่มได้ เจ้าของพื้นที่ทำงานสามารถค้นหาคีย์ API ที่จำเป็นได้โดยไปที่ การตั้งค่า → ความปลอดภัยและข้อมูลประจำตัว → การกำหนดค่า SCIM และคลิกเพื่อดูโทเค็น

โปรดดู เอกสารประกอบ SCIM ของเรา สำหรับข้อมูลล่าสุดเกี่ยวกับวิธีที่คุณสามารถโต้ตอบกับ SCIM API ของ Notion ได้ Notion รองรับแอปพลิเคชัน SCIM อย่างเป็นทางการกับ Google, Gusto, Okta, OneLogin และ Rippling

ขั้นตอนการเข้าถึงฉุกเฉิน

กำหนด (และดำเนินการตามความจำเป็น) ขั้นตอนสำหรับการเข้าถึงข้อมูลสุขภาพอิเล็กทรอนิกส์ที่ได้รับการคุ้มครองที่จำเป็นในระหว่างเหตุฉุกเฉิน

การค้นหาเนื้อหาช่วยให้เจ้าของพื้นที่ทำงานระดับ Enterprise สามารถมองเห็นเนื้อหาในพื้นที่ทำงานเพื่อปรับปรุงการกำกับดูแลและแก้ไขปัญหาการเข้าถึงหน้า การค้นหาเนื้อหาช่วยให้คุณสามารถ:

• ดูว่าใครมีสิทธิ์เข้าถึงหน้า
• แก้ไขสิทธิ์ของหน้า
• ค้นพบและกำหนดหน้าที่ถูกทิ้งร้างจากอดีตพนักงาน

คุณสามารถส่งออกหน้า Notion, ฐานข้อมูล หรือทั้งพื้นที่ทำงานได้ตลอดเวลา

สำหรับ Notion Mail และ Notion Calendar ให้เปิดใช้งาน ความสอดคล้องตามมาตรฐาน HIPAA กับ Google Workspace

การออกจากระบบอัตโนมัติ

ดำเนินการตามขั้นตอนทางอิเล็กทรอนิกส์ที่ยุติเซสชันอิเล็กทรอนิกส์หลังจากไม่มีการใช้งานตามเวลาที่กำหนดไว้ล่วงหน้า

ตั้งค่าระยะเวลาเซสชันแบบกำหนดเอง: สำหรับผู้ใช้ที่ได้รับการจัดการในแพ็คเกจ Enterprise Notion มีระยะเวลาเซสชันเริ่มต้นที่ 180 วัน อย่างไรก็ตาม เจ้าของพื้นที่ทำงานสามารถปรับแต่งระยะเวลาเซสชันของตนเองได้ตั้งแต่ 1 ชั่วโมงถึง 180 วัน

บังคับออกจากระบบผู้ใช้ที่ได้รับการจัดการ: บังคับออกจากระบบสำหรับผู้ใช้แต่ละรายหรือสำหรับผู้ใช้พื้นที่ทำงานทุกคนพร้อมกัน

บังคับรีเซ็ตรหัสผ่าน: บังคับรีเซ็ตรหัสผ่านสำหรับผู้ใช้แต่ละรายหรือสำหรับผู้ใช้พื้นที่ทำงานทุกคนพร้อมกัน

หากคุณยกเลิกการจัดเตรียมผู้ใช้ผ่าน SCIM ผู้ใช้รายนั้นจะถูกลบออกจากพื้นที่ทำงานและเซสชันของพวกเขาจะถูกยุติลง

การควบคุมการตรวจสอบ

ดำเนินการตามกลไกฮาร์ดแวร์ ซอฟต์แวร์ และ/หรือขั้นตอนที่บันทึกและตรวจสอบกิจกรรมในระบบสารสนเทศที่มีหรือใช้ข้อมูลสุขภาพอิเล็กทรอนิกส์ที่ได้รับการคุ้มครอง

เจ้าของพื้นที่ทำงานระดับองค์กรสามารถเข้าถึงบันทึกการตรวจสอบผ่าน การตั้งค่า สิ่งนี้จะให้ภาพรวมของเหตุการณ์ต่างๆ มากมายที่เกิดขึ้นในพื้นที่ทำงาน

สิ่งนี้มีประโยชน์อย่างยิ่งสำหรับการระบุปัญหาด้านความปลอดภัยที่อาจเกิดขึ้น การตรวจสอบพฤติกรรมที่น่าสงสัย และการแก้ไขปัญหาการเข้าถึง บันทึกการตรวจสอบของพื้นที่ทำงานสามารถส่งออกในรูปแบบ CSV ได้

ลูกค้าองค์กรยังสามารถใช้ การเชื่อมต่อกับพันธมิตรด้านการป้องกันการสูญหายของข้อมูล (DLP) ของเราเพื่อค้นหา จัดประเภท และปกป้องข้อมูลที่ละเอียดอ่อนใน Notion ได้

สำหรับ Notion Mail และ Notion Calendar ให้เปิดใช้งาน ความสอดคล้องตามมาตรฐาน HIPAA กับ Google Workspace

การควบคุมความสมบูรณ์ของข้อมูล

ดำเนินการตามนโยบายและขั้นตอนเพื่อปกป้องข้อมูลสุขภาพอิเล็กทรอนิกส์ที่ได้รับการคุ้มครองจากการเปลี่ยนแปลงหรือการทำลายที่ไม่เหมาะสม

ดำเนินการตามกลไกอิเล็กทรอนิกส์เพื่อยืนยันว่าข้อมูลสุขภาพอิเล็กทรอนิกส์ที่ได้รับการคุ้มครองนั้นไม่ได้รับการเปลี่ยนแปลงหรือทำลายในลักษณะที่ไม่ได้รับอนุญาต

ดำเนินการตามมาตรการรักษาความปลอดภัยเพื่อให้แน่ใจว่าข้อมูลสุขภาพอิเล็กทรอนิกส์ที่ได้รับการคุ้มครองซึ่งส่งผ่านทางอิเล็กทรอนิกส์จะไม่ถูกแก้ไขอย่างไม่เหมาะสมโดยไม่ถูกตรวจพบจนกว่าจะถูกกำจัดทิ้ง

ปิดใช้งานการแชร์หน้าสาธารณะ: การดำเนินการนี้จะปิดใช้งานตัวเลือก แชร์ไปยังเว็บ ในเมนูแชร์บนทุกหน้าในพื้นที่ทำงานนี้

ปิดใช้งานผู้ใช้ชั่วคราว: การดำเนินการนี้จะป้องกันไม่ให้ใครก็ตามเชิญบุคคลภายนอกพื้นที่ทำงานเข้ามายังหน้าใดๆ คุณไม่จำเป็นต้องใช้การควบคุมนี้หากคุณต้องการเชิญผู้ใช้ชั่วคราวตามความจำเป็น แต่โปรดทราบว่า Notion อาจไม่สามารถใช้เพื่อสื่อสารกับผู้ป่วย สมาชิกแผน หรือครอบครัวและนายจ้างของพวกเขาได้ หากคุณจำเป็นต้องเปิดใช้งานผู้ใช้ชั่วคราว เราขอแนะนำให้เปิด คำขอผู้ใช้ชั่วคราว ซึ่งจะใช้กระบวนการอนุมัติเพื่อให้คุณสามารถมีผู้ใช้ชั่วคราวในพื้นที่ทำงานของคุณได้ในขณะที่ยังคงมั่นใจในการปฏิบัติตามข้อกำหนด HIPAA

ปิดใช้งานการย้ายหรือทำซ้ำหน้าไปยังพื้นที่ทำงานอื่น: การดำเนินการนี้จะป้องกันไม่ให้ใครก็ตามย้ายหรือทำซ้ำหน้าไปยังพื้นที่ทำงานอื่นผ่านการดำเนินการ ย้ายไปที่ หรือ ทำซ้ำ

ไม่อนุญาตให้ส่งออก: การดำเนินการนี้จะป้องกันไม่ให้ใครก็ตามส่งออกเป็น Markdown, CSV หรือ PDF

ปิดใช้งานการสร้างพื้นที่ทำงาน: การดำเนินการนี้จะป้องกันไม่ให้ใครก็ตามสร้างพื้นที่ทำงานใหม่โดยไม่ได้รับการอนุมัติล่วงหน้า

ปิดใช้งานหรืออนุญาตส่วนขยายของบุคคลที่สาม: การดำเนินการนี้จะป้องกันไม่ให้ใครก็ตามเพิ่มส่วนขยายของบุคคลที่สามที่ไม่ได้รับการอนุมัติไปยังพื้นที่ทำงาน Notion ของคุณ

ปิดใช้งานการเข้าถึงพื้นที่ทำงานภายนอก: การดำเนินการนี้จะป้องกันไม่ให้ผู้ใช้ที่ได้รับการจัดการเข้าร่วมหรือเข้าถึงพื้นที่ทำงานภายนอกองค์กรของคุณ

สำหรับ Notion Mail และ Notion Calendar ให้เปิดใช้งาน ความสอดคล้องตามมาตรฐาน HIPAA กับ Google Workspace

การตรวจสอบความถูกต้องของบุคคลหรือนิติบุคคล

ดำเนินการตามขั้นตอนเพื่อตรวจสอบว่าบุคคลหรือนิติบุคคลที่ต้องการเข้าถึงข้อมูลสุขภาพอิเล็กทรอนิกส์ที่ได้รับการคุ้มครองนั้นเป็นบุคคลหรือนิติบุคคลตามที่อ้างจริง

ปิดใช้งานการเปลี่ยนแปลงโพรไฟล์: การดำเนินการนี้จะป้องกันไม่ให้ผู้ใช้ที่ได้รับการจัดการเปลี่ยนข้อมูลโพรไฟล์ของตนเองเพื่อหลีกเลี่ยงการแอบอ้างบุคคลอื่น

การจัดการโดเมน: โดเมนหมายถึงโดเมนที่อยู่อีเมลที่เชื่อมโยงกับบัญชี Notion การยืนยันโดเมนช่วยให้เจ้าของพื้นที่ทำงานสามารถอ้างสิทธิ์ความเป็นเจ้าของโดเมน ซึ่งจะปลดล็อกการตั้งค่าการจัดการโดเมน

ไม่อนุญาตให้เชิญผู้ใช้ชั่วคราว: การดำเนินการนี้จะป้องกันไม่ให้บุคคลใดก็ตามเชิญผู้ที่อยู่นอกพื้นที่ทำงานเข้ามายังหน้าใดๆ คุณไม่จำเป็นต้องใช้การควบคุมนี้หากคุณต้องการเชิญผู้ใช้ชั่วคราวตามความจำเป็น แต่โปรดทราบว่า Notion อาจไม่สามารถใช้เพื่อสื่อสารกับผู้ป่วย สมาชิกแผน หรือครอบครัวและนายจ้างของพวกเขาได้ หากคุณจำเป็นต้องเปิดใช้งานผู้ใช้ชั่วคราว เราขอแนะนำให้เปิด คำขอผู้ใช้ชั่วคราว ซึ่งจะใช้กระบวนการอนุมัติเพื่อให้คุณสามารถมีผู้ใช้ชั่วคราวในพื้นที่ทำงานของคุณได้ในขณะที่ยังคงปฏิบัติตามข้อกำหนด HIPAA

ระงับหรือลบบัญชีผู้ใช้ที่มีการจัดการ: ระงับหรือลบบัญชีผู้ใช้ที่มีการจัดการจากแดชบอร์ดการจัดการผู้ใช้

ปิดใช้งานการลบบัญชีผู้ใช้ที่มีการจัดการ: ป้องกันไม่ให้ผู้ใช้ที่มีการจัดการลบบัญชีของตนเอง

การเก็บรักษาและการกำจัดข้อมูล

ดำเนินการตามนโยบายและขั้นตอนเพื่อจัดการกับการกำจัดขั้นสุดท้ายของ PHI อิเล็กทรอนิกส์ และ/หรือฮาร์ดแวร์หรือสื่ออิเล็กทรอนิกส์ที่จัดเก็บข้อมูลดังกล่าว

การตั้งค่าการเก็บรักษาข้อมูลแบบกำหนดเอง ช่วยให้เจ้าของพื้นที่ทำงาน Enterprise สามารถควบคุมได้ว่าหน้าของผู้ใช้จะถูกลบออกจาก ถังขยะ เมื่อใด และสามารถเก็บรักษาไว้ได้นานเท่าใดหลังจากนั้น

เรามีการสำรองฐานข้อมูลไว้ ซึ่งจะช่วยให้คืนค่าเนื้อหาของคุณในช่วง 30 วันที่ผ่านมาได้หากคุณต้องการ

สำหรับ Notion Mail และ Notion Calendar ให้เปิดใช้งาน ความสอดคล้องตามมาตรฐาน HIPAA กับ Google Workspace

ความปลอดภัยในการส่งข้อมูล

ใช้มาตรการรักษาความปลอดภัยทางเทคนิคเพื่อป้องกันการเข้าถึง
ข้อมูลสุขภาพส่วนบุคคลทางอิเล็กทรอนิกส์ที่มีการคุ้มครอง ซึ่งกำลังถูกส่งผ่านเครือข่ายการสื่อสารทางอิเล็กทรอนิกส์โดยไม่ได้รับอนุญาต

ใช้กลไกในการเข้ารหัสข้อมูลสุขภาพส่วนบุคคลทางอิเล็กทรอนิกส์ที่มีการคุ้มครองเมื่อเห็นว่าเหมาะสม

การเข้ารหัสข้อมูลที่จัดเก็บ: ข้อมูลลูกค้าจะถูกเข้ารหัสในขณะจัดเก็บโดยใช้ AES-256 ข้อมูลลูกค้าจะถูกเข้ารหัสเมื่ออยู่บนเครือข่ายภายในของ Notion ในขณะจัดเก็บในระบบคลาวด์ ตารางฐานข้อมูล และการสำรองข้อมูล

การเข้ารหัสข้อมูลระหว่างรับส่ง: ข้อมูลที่ส่งระหว่างรับส่งจะถูกเข้ารหัสโดยใช้ TLS 1.2 หรือสูงกว่า